PHP, el lenguaje que sostiene una parte enorme de la web, volvió a quedar bajo presión esta semana tras la divulgación de dos fallos graves. En medio de esa carrera por parchear servidores, Elizabeth Barron, directora ejecutiva de la fundación que coordina el proyecto, dijo a Reuters que la organización funciona con una sola empleada a tiempo completo: ella misma.

Una estructura mínima para un software masivo

Según W3Techs, PHP está presente en aproximadamente el 70% de las webs para las que se conoce el lenguaje de servidor. Pese a ese peso, Barron explicó que la fundación opera con 14 contratistas, en su mayoría a tiempo parcial, mientras la junta trabaja de forma voluntaria y la financiación llega por donaciones y subvenciones.

La propia Barron resumió el problema con una frase tajante: PHP está “increíblemente infrafinanciado”. El contraste entre su alcance y su estructura interna deja al proyecto en una posición delicada, sobre todo cuando la respuesta a una vulnerabilidad no depende de un simple complemento, sino de actualizar PHP en cada servidor sin romper compatibilidades con aplicaciones y extensiones.

Vulnerabilidades, parches y trabajo acumulado

El problema de seguridad no surgió de la nada. La fundación identificó una de las vulnerabilidades en 2024 durante una revisión interna, aunque entonces no encontró una vía de explotación conocida y su corrección era difícil. En 2026, el hallazgo llegó también desde fuera: la firma Calif avisó al equipo el 11 de agosto, OpenAI detectó el caso por su cuenta y Wiz informó a la fundación el 24 de agosto, tras cinco días de investigación.

El 20 de octubre se filtraron los identificadores de los dos fallos y el proyecto adelantó un día la publicación, como recoge Simon Willison. Un día después llegó el parche. Después, Cloudflare registró millones de intentos de ataque, según contó su CEO a Reuters. Barron afirmó que la fundación no tiene evidencia de que alguien explotara esas fallas antes de su divulgación ni en sitios ya corregidos.

La directora también señaló que la inteligencia artificial ayuda a encontrar errores y a acelerar el trabajo de programación, pero al mismo tiempo eleva la carga de revisión sobre un equipo reducido. El proyecto, dijo, está recibiendo casi el doble de propuestas de cambio de código que hace un año, sin que haya crecido en igual proporción el número de colaboradores.